Legge americana sulla privacy e sulla protezione dei dati: cosa devono sapere i marchi

Un importante disegno di legge sulla protezione dei diritti alla privacy dei consumatori in tutti i 50 stati è uscito da un comitato della Camera dei rappresentanti degli Stati Uniti, segnando la prima volta che un disegno di legge così ampio è avanzato fino a questo punto.

L'American Data and Privacy Protection Act (ADPPA) ha ancora molta strada da fare prima di diventare legge, ma i marchi dovrebbero essere consapevoli delle sue disposizioni e del loro potenziale impatto sul business.

Cos'è l'American Data Privacy and Protection Act?

L'ADPPA stabilisce i requisiti per il modo in cui le aziende e le organizzazioni, comprese le organizzazioni senza scopo di lucro, dovrebbero gestire i dati personali, comprese le informazioni che identificano una persona o possono essere ragionevolmente collegate a un individuo.

Il disegno di legge riguarderebbe la maggior parte delle entità di raccolta dati. Si applica anche alle entità che elaborano i cosiddetti "dati coperti" e sono soggette al Federal Trade Commission Act (FTC Act). Qualsiasi azienda o organizzazione no profit che raccolga, elabori o trasferisca dati che possono essere ragionevolmente collegati a individui, è probabile che siano soggetti alla legge. Non si applicherebbe agli enti governativi.

ADPPA limita l'uso aziendale dei dati di identificazione personale. Vieta in gran parte alle organizzazioni di raccogliere, elaborare o trasferire dati personali al di là di quanto è ragionevolmente necessario per fornire un servizio richiesto dall'individuo.

Tuttavia, il disegno di legge include 17 eccezioni consentite, che coprono attività come la necessità di autenticare gli utenti e prevenire le frodi.

I broker di dati dovrebbero affrontare maggiori obblighi ai sensi dell'ADPPA, inclusa la registrazione presso l'FTC, che istituirebbe e manterrebbe un registro online consultabile contenente i nomi di queste entità. Ci sarebbe anche un registro "Non raccogliere" che consentirebbe agli utenti di richiedere che i broker di dati cancellino le loro informazioni entro 30 giorni.

Tutela della privacy dei consumatori e sicurezza dei dati

I difensori della privacy cercano da tempo di offrire ai consumatori maggiore visibilità e controllo sulle loro informazioni personali. Ai sensi del proposto American Data Privacy and Protection Act, le aziende devono consentire agli utenti di accedere, correggere ed eliminare i propri dati personali.

Le aziende dovrebbero disporre di meccanismi in atto per rispondere a tutte le richieste degli utenti per vedere e modificare i dati che le organizzazioni hanno su di loro.

Con ADPPA, i legislatori mirano a ridurre il numero di violazioni dei dati rendendo obbligatoria la sicurezza dei dati. Solo nella prima metà di quest'anno si sono verificate quasi 2.000 violazioni dei dati, molte delle quali relative a informazioni di identificazione personale o PII.

Le aziende che non possono dimostrare di aver fatto tutto il possibile per proteggere i dati dei clienti potrebbero eventualmente dover affrontare multe e sanzioni salate, anche se l'applicazione deve ancora essere completamente elaborata (il disegno di legge include una clausola che afferma che l'FTC dovrà istituire un ufficio per la privacy per gestire questo).

Le aziende con più di 15 dipendenti dovrebbero anche avere un responsabile della privacy e un responsabile della sicurezza dei dati.

Disposizioni ADPPA aggiuntive

Come redatto, il disegno di legge sulla privacy dei dati richiederebbe alle aziende di essere trasparenti su ciò che fanno con i dati dei consumatori e su come li proteggono. I cittadini avrebbero bisogno di rendere pubbliche le proprie politiche sulla privacy “in modo chiaro, evidente, non fuorviante e facilmente accessibile.

Le politiche dovrebbero dettagliare i tipi di dati raccolti da un'organizzazione, nonché come e quando li raccoglie, li elabora e li trasferisce.

L'ADPPA limita o vieta molte forme di pubblicità mirata, soprattutto ai minori . Alcuni affermano che ciò imporrebbe le restrizioni più severe negli Stati Uniti e, forse, nel mondo.

Le aziende dovrebbero essere estremamente attente ad evitare di fare pressioni sui minori affinché divulghino dati personali non necessari o per indirizzare marketing o pubblicità direttamente su di loro.

I consumatori possono citare in giudizio le aziende per presunte violazioni della privacy. A partire da due anni dopo l'approvazione dell'ADPPA, gli utenti potrebbero citare in giudizio rimedi come provvedimenti ingiuntivi, danni compensativi e ragionevoli spese legali se ritengono che un'organizzazione abbia gestito male i loro dati privati.

Legge federale sulla privacy dei dati: nessuna scommessa sicura

Nonostante il desiderio bipartisan di fare qualcosa per la privacy dei dati e il sostegno dei consumatori alle disposizioni del disegno di legge, permangono notevoli ostacoli al passaggio del disegno di legge.

Ad esempio, i legislatori degli stati con norme sulla privacy esistenti, tra cui Connecticut, Colorado, Utah, Vermont e California, hanno espresso preoccupazione che l'ADPPA possa prevalere sulle protezioni che hanno già adottato per i loro cittadini. I legislatori della California, in particolare, temono che possa minare il loro punto di riferimento del California Consumer Privacy Act (CCPA) del 2018, nonché un'altra iniziativa che entrerà in vigore il prossimo anno.

Dopo un'indagine sulle attività online, il procuratore generale della California Rob Bonta ha annunciato un accordo da 1,2 milioni di dollari con Sephora ad agosto per non aver detto ai consumatori che stava vendendo i loro dati, per non aver elaborato le richieste degli utenti di rinunciare a tali pratiche e per non riuscendo ad affrontare le sue violazioni abbastanza rapidamente. Altri rivenditori hanno ricevuto avvisi che dovevano porre rimedio alle loro violazioni del CCPA.

Sebbene un emendamento all'ADPPA tenti di placare i legislatori della California con un linguaggio che specifica specificamente che il CCPA rimanga in vigore, alcuni vedono ancora la legge statale minacciata e si oppongono alla legislazione federale.

Non sorprende che i data broker si siano opposti e la Camera di Commercio degli Stati Uniti lo abbia definito "impraticabile".

Indipendentemente da queste battaglie, c'è un senso di ottimismo a Capitol Hill, l'ADPPA troverà abbastanza supporto per il passaggio. Dopo un'intensa trattativa, il disegno di legge è uscito relativamente illeso dalla Commissione Energia e Commercio della Camera. Tuttavia, con le elezioni di medio termine in arrivo a novembre, è possibile che i legislatori preferiscano lasciare che il prossimo Congresso decida il futuro dell'ADPPA.

Anche se non viene ratificato, lo slancio dietro l'ADPPA suggerisce che ci sarà una legge federale sulla privacy dei dati e le aziende dovrebbero essere pronte e in grado di rispondere.